Ах, эти хакеры! Если бы они были героями комедийного сериала, их главной фишкой был бы не взлом банков и энергетических систем, а попытки угнать Wi-Fi у соседей. Но нет, специалисты из США, Австралии и ещё целой кучи стран объединились, чтобы рассказать нам о новой волне атак одной российской хакерской группы. Представьте себе: девять стран собрались вместе, словно на международный фестиваль кибербезопасности, чтобы предупредить о том, что где-то там в цифровых дебрях прячется группа с таким количеством псевдонимов, что можно устроить викторину «Угадай хакера по прозвищу». Berserk Bear? Energetic Bear? Crouching Yeti? Dragonfly? Ghost Blizzard? Static Tundra? Похоже, кто-то просто не мог определиться с ником для игры и решил взять всех понемногу.
На самом деле за этими забавными именами скрывается одна и та же команда виртуозов проникновения в маршрутизаторы — эти маленькие коробочки у вас дома или в офисе, которые отвечают за то, чтобы интернет не превращался в телепорт без связи. Хакеры охотятся именно на устройства со слабыми паролями и устаревшими прошивками — словом, на тех самых «домашних любимцев», которые работают с заводскими настройками. Ну вы знаете этих героев: пароль admin/admin или даже проще — «123456». Как говорил один мой знакомый айтишник: «Если пароль от роутера — это имя твоего кота и год его рождения, то ты сам зови хакеров на чай».
А вот про SNMP (Simple Network Management Protocol) многие даже не слышали. Это такой протокол для управления сетевым оборудованием. При правильной настройке он как швейцарский нож для администраторов — помогает следить за состоянием сети и быстро реагировать на проблемы. Но если настроен кое-как — превращается в открытую форточку для всяких нехороших гостей. Представьте: вы оставили дверь квартиры открытой с табличкой «Заходите! Бесплатное мороженое!» — так же делают владельцы многих роутеров.
После того как хакеры находят такую дырку в безопасности (а делают они это с помощью автоматизированных сканеров IP-адресов), начинается самое интересное. Они маскируются под кого угодно — будто герой шпионского фильма меняет личины налево и направо — и копируют конфигурационные файлы маршрутизатора через протокол TFTP. Этот протокол настолько прост и древен (он родился в эпоху динозавров локальных сетей!), что защищаться от него можно только выключая устройство или молясь на обновления прошивки.
Что же такого ценного содержится в этих файлах? Там адреса внутренних систем компании, параметры интерфейсов сети, учётные данные — словом, карта сокровищ для хакеров! Взломанный маршрутизатор — это уже не просто сломанная дверь в квартиру; это контроль над подъездом с домофоном и почтовыми ящиками сразу. Согласитесь, куда приятнее знать все секреты здания целиком.
Отдельно стоит упомянуть Cisco Smart Install — функцию вроде бы созданную для удобства быстрого развертывания оборудования. Но благодаря уязвимости CVE-2018-0171 она превратилась в лазейку уровня «Пригласите меня внутрь», позволяющую злоумышленникам вмешиваться практически во всё подряд. Парадоксально: технология задумывалась как помощник IT-шников, а стала подарком для хакеров. Как говорится: хочешь сделать хорошо – сделай плохо!
Самое забавное (если можно так выразиться) заключается в том, что часть организаций до сих пор использует оборудование с неподдерживаемыми версиями ПО. Это примерно как ездить на стареньком автомобиле без ремней безопасности и подушек безопасности – вроде едет, но риск получить неприятности огромен.
Сильная безопасность начинается с надежных паролей.